組織内のユーザー数が 1,000 人を超える場合は、データ エクスポート ツールを使用する前に Google Workspace サポートにお問い合わせください。Google Workspace サポートチームは、データ エクスポート ツールでエクスポートされるデータにアクセスしたり、処理したりすることはありません。
https://support.google.com/a/answer/100458?hl=ja

ステップバイステップの包括的詳細説明
* ユーザーへの移動: Google 管理コンソールに移動し、「ユーザー」セクションに移動します。
* ユーザーの選択: 組織を退職したユーザーを見つけて選択します。
* アーカイブ ユーザー ライセンスの割り当て: ユーザーにアーカイブ ユーザー (AU) ライセンスを割り当て、そのユーザーのデータが Vault に保持され、アクセスできるようにします。
* Vault でのアクセスを確認する: Google Vault にアクセスし、データが Vault 管理者に表示され、アクセスできることを確認します。
* 費用対効果の高いデータ保持: AU ライセンスを使用すると、アクティブな Google Workspace ライセンスがなくてもデータが保持されるため、費用対効果が高くなります。
参考文献
* ユーザーにライセンスを割り当てる
* Google Vault アーカイブ ユーザー

管理コンソールにアクセスする: Google Workspace 管理コンソールにログインします。
レポートへの移動: 管理コンソールのレポート セクションに移動します。
トークン監査ログ：レポート内で「トークン監査」ログにアクセスします。このログには、ユーザーがアプリケーションに発行したOAuthトークンの詳細が表示されます。
アプリケーションの確認：Google Workspace データへのアクセスを許可されているアプリケーションのリストを確認します。これには、各アプリケーションがアクセスできるスコープ（データの種類）に関する情報が含まれます。
リストを作成：トークン監査ログからすべてのアプリケーションのリストを作成します。アプリケーションがアクセスできるデータの詳細と、各アプリケーションを使用しているユーザー数が含まれます。
データのエクスポート: このデータをスプレッドシートにエクスポートして、さらに分析し、最高コンプライアンス責任者に報告することができます。
参照
Google サポート: トークン監査ログ

https://support.google.com/a/answer/1247799?hl=ja

管理コンソール: admin.google.com で Google 管理コンソールにログインします。
セキュリティ設定: [セキュリティ] > [調査ツール] に移動します。
アラートを作成する:
「アクティビティ ルールの作成」をクリックします。
条件セクションで、「イベントは」を選択し、「ログイン」を選択します。
条件を「不審なログイン」に設定します。
アラートの詳細: アラートを受信するユーザーや追加の通知設定など、アラートの詳細を構成します。
保存して有効化: ルールを保存して有効化し、疑わしいログイン試行の監視を開始します。
参照
Google Workspace 管理者: アラートの管理
Google Workspace セキュリティ: 調査ツール